鉴于目前基于 RDP 攻击的勒索病毒泛滥，如何安全的访问内网的 windows

[dier]

偶尔有需要访问内网 windows 的需求，虽然能直接开放 3389，但前几天也看到 V 友有 RDP 被攻击的帖子。

• 目前我的解决方案是即用即开，用完就关。但还是过于麻烦。

• 试过用 SSH 隧道，但发现 RDP 没办法配置代理。

• 还试过 OpenVPN，但不知道是不是被检测到干扰的原因，配置完之后的一段时间整个网络非常差。关掉之后一段时间网络又恢复正常了。

想问一下大家用的哪种隧道技术比较好？

[troilus]

用 zerotier 吧

[woshijidan]

一手 vpn 无视任何病毒

[goodryb]

转发什么的不知道会不会影响速度。
我是设置了网卡启动，要用的时候 ssh 回到家里某个 Linux 上，然后通过指令唤醒笔记本，用完了关机。

[LiYanHong]

IPBan，了解一下

[pcbl]

@troilus
@aitaii zerotier 做不到网络唤醒还有共享路由器上的梯子，这两个有解决办法吗

[qping]

我看了下貌似是简单密码比较容易受攻击, 把密码复杂度提高应该能解决一部分问题吧
@dier #15

[yanzhiling2001]

我又得吹一下 frp 了,选择流量加密和 stcp 模式,会自动生成证书校验

[sigl0p]

> 已经成功通过 SSH+私钥访问+端口转发访问到内网的 windows 机器了

可以传授一下经验，介绍一下是用哪些软件实现的这一套隧道的吗？

[CloudMx]

我把密码设置为超级长的随机数，然后改了下默认端口。

[ausfron]

@dier 咋实现的，求指路

[dier]

@sigl0p
@ausfron 加上了，你们看一下上面的附言

[dier]

@LiYanHong 这个在用，确实能拦截很多，但也是怕遇到 CVE-2019-0708 这种漏洞不知道能不能挡得住

[ausfron]

@dier 其实我想知道 而且我也在 SSH 机器上加了防止暴力破解的措施，同一 IP 错误三次就永久拉黑
这个是怎么实现的

[dier]

@ausfron 你可以参考一下 #24 楼 LiYanHong 说的 IPBan, 就支持屏蔽。我 linux 上没用这个，是自己写的一个 shell 。定时检测 secure 日志，把尝试登录失败超过一定次数的 IP 写入 /etc/hosts.deny 中

[dier]

@oldphper 主要问题就是发起端没办法固定 IP

[Ansen]

最近有什么漏洞？我给十几个同事用 FRP 映射了 IP，瑟瑟发抖中……

[alfawei]

@shyrock 我开了，但我的 windows 需要用 Microsoft 账号登录，用户名是邮箱地址，不是很容易登录吧

[dier]

@Ansen 到不是最近有什么漏洞，我用的环境还有 win7 所以还是要防一防以前的漏洞

[ruixue]

这两年没有再曝出能直接绕过 RDP 登录鉴权的严重漏洞，所以用非 3389 端口+10 位以上包含大小写、数字、符号的随机密码就足够了

[gBurnX]

@ruixue 没被爆过新漏洞，不代表没有漏洞。比如 360 安全团队里就有一堆 0day，他们只在参加大赛时利用一下。